2026년 10월 25일 고른 기술 소식
인도 인증기관 eMudhra의 약한 중간 인증기관 키 문제, HTTPS 신뢰에 주는 영향
- 인증기관(CA)은 브라우저와 기기가 기본으로 믿는 최상위 기관이다. 웹사이트의 HTTPS 인증서가 진짜인지 확인하는 출발점이라, 이 기관의 비밀키가 노출되면 정상처럼 보이는 가짜 인증서를 만들 수 있다.
- 원문에 따르면 eMudhra는 키 생성 스크립트의 버그로 매우 약한 중간 인증기관 키를 만들었고, 이 키가 실제 운영에 잘못 채택됐다. 원문은 상위 47바이트가 0인 사실상 1바이트 수준의 키였다고 전하며, 이 내용은 외부 분석가 Scott Helme의 글을 인용한 것이다.
- 필자는 이런 약한 키라면 공격자가 서명 키를 복원해 위조 인증서를 만들 수 있고, 공용 와이파이 같은 중간자 공격에 쓰일 수 있다고 해석한다. 원문에는 실제 악용 사례가 확인됐다는 내용은 없다.
- eMudhra는 발견 14시간 안에 관련 인증기관을 폐기했고 최종 인증서 발급은 없었으며 데이터 유출도 없었다고 밝혔다. 이후 글로벌 TLS 인증서 사업에서 철수한다고 발표했으며, 필자는 이 대응이 책임 인정이 부족하다고 비판한다.
AI로 만든 기술 도해를 화풍별로 바꾸고 GIF로 움직이게 하는 요청 방법
- 일본 개발자 기술 블로그 플랫폼 Qiita의 필자는 생성 AI가 쓴 듯한 글이 늘어 좋은 글도 외면받는다고 적었다. 그래서 글 사이에 도해를 여러 장 넣는 방식을 택했다고 밝혔으며, 이 방식으로 조회나 좋아요가 늘었는지는 원문에 수치로 나오지 않는다.
- SVG는 그림을 글자로 적은 벡터 그림 파일이라 생성 AI가 문장 지시만으로 직접 그릴 수 있다고 필자는 설명한다. AWS Lambda 설명도 하나를 빨간펜 선생님, 제도 도면, 잡지 지면, 만화 등 화풍만 바꾼 요청문으로 제시한다.
- 움직이는 GIF는 앞서 만든 SVG 도해를 다시 넘겨, 화살표 위로 요청이 흐르고 상자가 빛나는 애니메이션을 6초 주기로 반복하라는 요청문으로 제시된다. 글자는 읽히도록 움직이지 않게 하고, 끊김 없이 반복되게 하라는 조건이 붙는다.